AI w KYC i weryfikacji tożsamości

Know Your Customer (KYC) stanowi część należytej staranności wobec klienta wymaganej przez przepisy dotyczące przeciwdziałania praniu pieniędzy. Należą do nich zalecenia Grupy Specjalnej ds. Przeciwdziałania Praniu Pieniędzy i przepisy krajowe, takie jak amerykańska ustawa o tajemnicy bankowej. KYC oznacza ustalenie, kim jest klient w chwili rejestracji, a w przypadku firm – kto ostatecznie jest jego właścicielem lub kto go kontroluje. Różni się od monitorowania transakcji, które później obserwuje aktywność konta pod kątem podejrzanych wzorców. Informują się wzajemnie, ale korzystają z różnych danych i modeli. Zdalna weryfikacja tożsamości składa się zazwyczaj z trzech etapów. W pierwszej kolejności weryfikacja dokumentu identyfikuje rodzaj dowodu osobistego i pobiera jego dane za pomocą OCR. Odczytuje strefę odczytu maszynowego i kody kreskowe oraz szuka manipulacji, takich jak zamienione zdjęcia lub niedopasowane czcionki. Tam, gdzie to możliwe, systemy odczytują podpisany kryptograficznie chip w e-paszportach, co stanowi silniejszy dowód niż obrazy. Po drugie, dopasowywanie twarzy porównuje zdjęcie w dokumencie z selfie przy użyciu modelu rozpoznawania twarzy, który generuje ocenę podobieństwa. Po trzecie, wykrywanie aktywności sprawdza, czy selfie pochodzi od żywej osoby stojącej przed aparatem. Aktywna żywotność prosi użytkownika o poruszanie się lub podążanie za podpowiedziami. Pasywna żywość analizuje teksturę, wskazówki głębi i ruch, nie podając żadnych instrukcji. Ataki dzielą się na dwie rodziny. Ataki prezentacyjne umieszczają coś przed kamerą: wydrukowane zdjęcie, ekran lub maskę. Ataki polegające na wstrzykiwaniu całkowicie pomijają kamerę i wprowadzają do aplikacji wcześniej nagrane lub wygenerowane przez sztuczną inteligencję wideo za pośrednictwem wirtualnych kamer, emulatorów lub zmodyfikowanych urządzeń. Deepfakes sprawiają, że ataki polegające na wstrzykiwaniu są bardziej przekonujące. W 2024 r. FinCEN wydał ostrzeżenie dotyczące oszustw wykorzystujących fałszywe media przeciwko instytucjom finansowym. Powszechnym błędnym przekonaniem jest to, że dobre dopasowanie selfie potwierdza tożsamość. Dowodzi jedynie, że twarz pasuje do dokumentu. Nie dowodzi, że dokument jest autentyczny ani że tożsamość nie jest syntetyczna, czyli zbudowana na podstawie prawdziwego numeru ubezpieczenia społecznego i wymyślonych szczegółów. Dlatego dostawcy łączą dane biometryczne z kontrolą dokumentów, urządzeń i danych.